[CCDS]サーティフィケーションプログラム
IoT機器に対するリスク分析のガイド

一般社団法人重要生活機器連携セキュリティ協議会
Copyright Connected Consumer Device Security Council Proprietary1

プロセス全体の流れ■ステップ1－1．脅威分析
１）システム構成図を用いた想定脅威の検討
２）CCDS-STRIDEモデルによる脅威分類の実践■ステップ1－2．対策⽴案
３）リスク対策のためのフレームワーク活用■ステップ1－3．検証手法の検討
４）仮説の検証〜検証ツールや検証手法を選定する■ステップ２-1．リスク評価〜レベル定義
１）リスク評価の実施

Copyright Connected Consumer Device Security Council Proprietary2手順②︓守るべき情報、資産を明確化する■守るべき資産の分析〜守るべき資産とは︖
分類

具体事例

個人情報

⽒名、生年⽉⽇等、個人を識別可能な情報

機密情報

企業にとって外部への開示を予定していない情報

⾦融資産

⾦銭（現⾦取扱い端末等）

⾦融資産に紐づくデータ

クレジットカード番号、銀⾏⼝座番号等

設定情報

ネットワークの設定情報、アクセス権限等ログ情報

実際にやり取りされる通信データやクライアント、サーバの情報等

セキュリティ情報アクセス用のID、Password情報や、電子証明書、暗号鍵等機器本体対象となるDUT機器本体

プログラムコード(ソフトウェア、ファームウェア)

対象DUTに含まれるソフトウェアやファームウェアなどのソースコード

健康、人命（※）

機器の利用にかかわるユーザの物理的安全性※IoTに必要な「情報セキュリティ」に不⾜している考え⽅
・物理的安全（特に人命）を資産として考える・人命に対する脅威を最優先として捉える・コンプライアンス、製造物責任法（PL法）の順守
Copyright Connected Consumer Device Security Council Proprietary3

手順③︓攻撃経路を分析する■攻撃経路の分析・システム構成図の中で、データの⼊出⼒やインタフェースを踏まえ、攻撃の入口（エントリーポイント）やアタックサーフェイスの分析を⾏う。
ネットワークカメラにおけるシステム構成事例

攻撃者の視点で考える︕
・どこに自分が欲しい資産（情報）があるのか・そのためにはどこから攻撃するのが一番効率的（簡単）なのか
Copyright Connected Consumer Device Security Council Proprietary4手順③︓攻撃経路を分析する■ネットワークカメラを事例としたエントリーポイント、アタックサーフェースの抽出

クラウド環境（検証対象外）
ネットワークカメラ用
クラウドサーバ
データベース ⑥

通信I/F⑤

・ユースケースを踏まえ、攻撃のリスクが存在する箇所をアタックサーフェイスとして抽出する。
・攻撃の⼊り⼝（エントリーポイント）から、どのような経路で守るべき資産に到達できるかをイメージする。

①認証

携帯電話
通信事業者網 基地局

インターネット

宅外利⽤環境宅内環境

４G・LTE通信
①認証

③
①

検証対象

②

①認証
②カメラアクセス（映像・音声）③管理機能操作③②カメラアクセス（映像・音声）①認証②カメラアクセス（映像・音声）③管理機能操作③管理機能操作④

Copyright Connected Consumer Device Security Council Proprietary5手順④︓想定脅威の具体事例の検討
システム構成図で想定された各攻撃ポイント（AS＝アタックサーフェース）※について、具体的な脅威を分析していく。 ※AS:
マークが想定される攻撃ポイント■システム構成において想定される具体的な脅威例（ネットワークカメラ）
対象範囲

攻撃
ポイント
AS①

カメラ本体

AS②

影響を受ける守るべき資産
インターネット経路における通信情 ・認証情報
報、認証情報の漏洩、窃取・通信経路上のデータ想定される具体的な攻撃

AS③

スマートフォン・タ
ブレット用アプリ

AS④

クラウドサーバ

AS⑤

情報の暴露

カメラの管理機能に対する不正アク ・管理機能上の設定情報
セス（設定変更）
・録画データ不正アクセスカメラ機能、SDカード記録情報への不正アクセス

不正アクセス

攻撃者によるカメラの踏み台利用
PC用ソフトウェア

脅威分類（後述）

・録画データインターネット経路における通信情・認証情報
報、認証情報の漏洩、窃取・スマートフォン、タブレット内スマートフォン、タブレットアプリの連絡先等個人情報（アプリ連携の個人情報の漏洩、窃取のパーミッション）
インターネット経路における通信情・認証情報
報、認証情報の漏洩、窃取・録画データ（クラウド保存をサポートしている場合）
ネットワークカメラサーバへの不正・アップデート用のソフトウェア
アクセス・認証情報
・復号鍵（秘密鍵）
・サーバ証明書〜〜〜〜〜以下、省略〜〜〜〜〜〜〜
Copyright Connected Consumer Device Security Council Proprietary

踏み台
情報の暴露
情報の暴露
情報の暴露

AS⑥

不正アクセス6

手順⑤︓CCDS-STRIDEモデルによる脅威の分類
・STRIDEモデルなど活用して、各エントリーポイントの想定脅威を抽出、分類する■STRIDE 脅威モデルによる分類
脅威名称
英語表記

説明

なりすまし

Spoofing

コンピューターに対し、他のユーザーを装うこと

データの改ざん

Tampering with Data

権限なしでデータを改ざんし、データの完全性を失わせること

否認

Repudiation

ユーザーがあるアクションを⾏った
ことを否認し、相手はこのアクションを証明する⽅法がないこと

情報の暴露(漏洩) Informal Disclosure

アクセス権限を持たない個人に情報が公開されること

サービス不能Denial of Service

正規のユーザがサーバやサービスにアクセスできないこと

権限の昇格

Elevation of Privilege

権限のないユーザーがアクセス権限を得ること

Copyright Connected Consumer Device Security Council Proprietary7手順⑤︓CCDS-STRIDEモデルによる脅威の分類■STRIDEにCCDSで脅威を追加したモデル
脅威名称

英語表記

説明

なりすまし（偽装）Spoofing

コンピューターに対し、他のユーザーや機器を装うこと

データの改ざん

Tampering with Data

権限なしでデータを改ざんし、データの完全性を失わせること

否認

Repudiation

ユーザーがあるアクションを⾏ったことを否認し、相手はこのアクションを証明する⽅法がないこと

情報の暴露(漏洩)Informal Disclosure

アクセス権限を持たない個人に情報が公開されること

サービス不能(DoS)

Denial of Service

正規のユーザがサーバやサービスにアクセスできな
いこと※DDoS攻撃やジャミングによるサービス妨害など権限の昇格

Elevation of Privilege

権限のないユーザーがアクセス権限を得ること

不正アクセスUnauthorized access

アクセス権限を持たない者にアクセスされること

マルウェア感染Malware infection

他の機器への汚染源になる。ランサムウェアなどにより業務妨害を受けること

踏み台

Stepping stone attack

他の機器へ不正アクセス等を⾏う際の中継地点として使用されること

Tampering with device

不正（違法）なハード、ソフトウェアの改造により、内部データを抜き取ったり、脆弱性の要因を組み込まれること

不正改造(HW/SW)
未知の脆弱性まだ公知となっていない脆弱性や、新たな攻撃手法による脆弱性のこと
Copyright Connected Consumer Device Security
Council Proprietary8

Unknown Vulnerabilities

手順⑥︓必要なセキュリティ対策のリストアップ
保護すべき資産への想定脅威に対して、どのような対策が必要であるかを分析し、対策名として整理する。
■ネットワークカメラにおけるセキュリティ対策の検討例
対象範囲

攻撃ポイントAS①

影響を受ける
守るべき資産インターネット経路における通信情報、 ・認証情報
認証情報の漏洩、窃取・通信経路上のデータ想定される具体的な攻撃・管理機能上の設定情
カメラの管理機能に対する不正アクセス報（設定変更）・録画データ
カメラ本体

AS②

カメラ機能、SDカード記録情報への不正アクセス

脅威分類
情報の暴露

スマートフォン・タ
ブレット用
アプリ

通信経路暗号化
脆弱性対策不正アクセス

セキュア開発ユーザ認証

不正アクセス・録画データ

PC用ソフトウェア

対策名

攻撃者によるカメラの踏み台利用

踏み台

AS③

インターネット経路における通信情報、・認証情報
認証情報の漏洩、窃取情報の暴露

AS④・スマートフォン、タスマートフォン、タブレットアプリの個 ブレット内の連絡先等
人情報の漏洩、窃取
個人情報（アプリ連携のパーミッション）

脆弱性対策
セキュア開発脆弱性対策
セキュア開発通信経路暗号化
アプリ側の脆弱性対策※要個別対応情報の暴露

アプリ側のセキュア開発〜〜〜〜〜以下、省略〜〜〜〜〜〜〜
Copyright Connected Consumer Device Security Council Proprietary ※要個別対応 9

参考）脅威別のセキュリティ対策一覧①
脅威セキュリティ対策名

なりすまし（偽装）データ暗号化

メッセージ認証（デジタル署名）

出荷状態リセット

メッセージ認証（セキュアハッシュ）

情報の暴露（漏洩） セキュア消去〜HW(SW)
耐タンパ―H/W
耐タンパ―S/W

デジタル署名否認

遠隔消去

通信経路暗号化
情報の暴露（漏洩）〜通信経路上セキュリティ対策名

サーバ認証

通信経路暗号化

データの改ざん

脅威

サーバ認証
ユーザ認証

DoS対策
サービス不能FW（ファイアウォール）機能
電磁波（ジャミング）対策

データ⼆次利用禁⽌

脆弱性対策
サーバセキュリティ
権限の昇格

セキュア開発IDS/IPS
ユーザ認証

Copyright Connected Consumer Device Security Councilログ分析
Proprietary10参考）脅威別のセキュリティ対策一覧②※CCDS追加項目に対するセキュリティ対策
脅威

脆弱性対策

サーバセキュリティ

サーバセキュリティ

FW（ファイアウォール）機能

踏み台

セキュア開発IDS/IPS

ユーザ認証

ユーザ認証

遠隔ロック

ログ分析

ログ分析

ソフトウェア署名

脆弱性対策

セキュア開発セキュア開発フィルタリング
マルウェア感染セキュリティ対策名

脆弱性対策

セキュア開発不正アクセス

脅威

セキュリティ対策名

不正改造（HW/SW）

アンチウィルス

出荷状態リセット
セキュア消去

仮想パッチ

耐タンパ―HW

ホワイトリスト制御

耐タンパ―SW

ソフトウェア署名

未知の脆弱性－Copyright Connected Consumer Device Security Council Proprietary11参考）セキュリティ対策の機能・目的①
対策名

機能・目的

脆弱性対策

開発段階での脆弱性混⼊を防⽌する。運用段階で検出された脆弱性を解消する。

セキュア開発実装時にセキュアプログラミングを実施する。また、セキュリティテストを実施したことを確認の上で出荷する。

サーバセキュリ
ティ

サーバのセキュリティ（設定情報を含む）を定期的に確認し、問題があれば修正する。

FW 機能

接続先を IP アドレス・ポート番号で制限する。

サーバ認証

クライアントがサーバを認証することにより、サーバへの成りすましを防⽌する。

フィルタリング

信頼できないウェブサイトへのアクセスを禁⽌する。また、信頼できないアドレスからのメール受信を拒否する。

IDS/IPS

⼊出⼒データを監視し、不正アクセスの検知、抑⽌を⾏う。

DoS 対策DoS（DDoS）攻撃を遮断するための対策を実施する。

アンチウイルス

ウイルスを検知・除去して、ウイルス感染を防⽌する。

仮想パッチ
ユーザ認証
メッセージ認証

ソフトウェア更新等が実施できず、脆弱性を完全に除去できない場合、脆弱性を突いた攻撃を前段にてブロックする。（WAFによる対策など）
利用者を認証することにより、利用者の成りすましによる脅威を防⽌する。可能であれば、複数の認証要素を組み合わせた多要素認証技術を採用することが望ましい。
通信相手から送信されたメッセージを認証することにより、通信相手への成りすましによる偽メッセージ送信や、メッセージの改ざんを防⽌する。
Copyright Connected Consumer Device Security Council Proprietary12参考）セキュリティ対策の機能・目的②
対策名

機能・目的

通信路暗号化

データの通信路を暗号化し、通信路上のデータが漏えいしたとしても、無価値化する（攻撃者にとって無意味なものとする）。また、通信路上でのデータの改ざんを検知する。

データ暗号化

データ自体を暗号化し、仮に蓄積時または通信時のデータが漏えいしたとしても、無価値化する（攻撃者にとって無意味なものとする）。

データ⼆次利用禁⽌ データの目的外利用を禁⽌し、⼆次利用先からの漏えいを防⽌する。
ホワイトリスト制御 予め許可したプログラム以外の動作を禁⽌し、ウイルス感染を防⽌する。
ソフトウェア署名

署名されたソフトウェアの動作のみ許可し、ウイルス感染したソフトウェアや不正改造されたソフトウェアの動作を防⽌する。

出荷時状態リセット IoT 機器を出荷時状態にリセットして、データや出荷後の設定を全て削除する。
セキュア消去
耐タンパーH/W
耐タンパーS/W

記録していた場所から復元不可能な様にした上で、データを消去する。
筐体開封を検知して内部情報を自動消去する等、ハードウェア技術を用いて、内部構造や記憶しているデータの解析を困難とする。
プログラムやデータ構造の難読化等、ソフトウェア技術を用いて、内部構造や記憶しているデータの解析を困難とする。

遠隔ロック

遠隔操作により IoT 機器の機能をロックし、第三者による不正利用を防⽌する。

遠隔消去

遠隔操作により IoT 機器内のデータを消去し、情報漏えいを防⽌する。

ログ分析

Copyright Connected Consumer Device Security Council Proprietary
各種ログを分析することで、不正アクセスを検知し、何が⾏われたかを突き⽌める。
13

手順⑦︓対策フレームワークの活用と具体化
・セキュリティ対策の具体的な対策内容を、Online Trust Alliance（OTA）の「OTA IoT Trust Framework」[参考資料︓3-1]や、OWASPの「OWASPTop 10 IoT Vulnerabilities」[参考資料︓３-２]等のフレームワークを参考に検討し、対応する対策番号を記載する。

■ネットワークカメラにおけるセキュリティ対策の検討例（OTA,OWASP）
対象範囲

攻撃
ポイント
AS①

想定される具体的な攻撃影響を受ける
守るべき資産脅威分類

・認証情報
インターネット経路における通信・通信経路上の 情報の暴露
情報、認証情報の漏洩、窃取データ

カメラの管理機能に対する不正ア
クセス（設定変更）

・管理機能上の設定情報
不正アクセス・録画データ

カメラ本体
AS②

カメラ機能、SDカード記録情報への不正アクセス

不正アクセス・録画データ

攻撃者によるカメラの踏み台利用

PC用ソフト
ウェア

AS③

踏み台

対策名

OTA分類

OWASP分類

通信経路暗号化

１，２，３

４，８

脆弱性対策

４，５

３，６

セキュア開発２，７

３，４，５，６

ユーザ認証

１１，１２，
１３，１４

２，６，８

脆弱性対策

４，５

３，６

セキュア開発２，７

３，４，５，６

脆弱性対策

４，５

３，６

セキュア開発２，７

３，４，５，６

インターネット経路における通信
１，２，３
・認証情報
情報の暴露
通信経路暗号化〜〜〜〜〜以下、省略〜〜〜〜〜〜〜
Copyright Connected
Consumer
DeviceSecurity Council
Proprietary
情報、認証情報の漏洩、窃取

４，８14手順⑦︓対策フレームワークの活用と具体化①Online Trust Alliance（OTA）の対策フレームワーク
参考資料︓3A-1）「OTA IoT Trust Framework」⇒31項目（Update July 12 , 2016）[文書構成]
対策観点

項目数

１

デバイス、アプリケーション、クラウドサービスのセキュリティ 10項目

２

ユーザアクセスと資格情報

5項目

３

プライバシー 透明性と開示

16項目

[概要]

「Online Trust Alliance」はオンラインの信頼性を向上させる事を目的としたアメリカの非営利団体である。このフレームワークはIoT機器向けの対策として、メールを含む通信プロトコルやアクセス権限管理、プライバシー保護のための遵守事項等、幅広い範囲に渡って記載されている。どちらかと言えば、セキュリティを強化するための実装やサービス要件も含まれており、評価・検証用としては、やや使いにくい印象。
Copyright Connected Consumer Device Security Council Proprietary15

手順⑦︓対策フレームワークの活用と具体化②OWASPの対策フレームワーク

参考資料︓３A-２）「OWASP Top 10 IoT Vulnerabilities」⇒10項目、※57の小項目[文書構成]

対策観点

項目数

１

セキュリティが確保されていないWebインターフェイス

5項目

２

不⼗分な認証10項目

３

セキュリティが確保されていないネットワークサービス

3項目

４

暗号化されていないトランスポート

4項目

５

プライバシーに関する懸念6項目

６

セキュリティが確保されていないクラウドインターフェイス

6項目

７

セキュリティが確保されていないモバイルインターフェイス

6項目

８

不⼗分なセキュリティ設定

5項目

９

セキュリティが確保されていないソフトウェア/ファームウェア

6項目

１０

物理的セキュリティの脆弱さ

6項目

Copyright Connected Consumer Device Security Council Proprietary16手順⑧︓リスク評価の実施
ステップ1で分析した想定脅威に対して、後述の手法を用いたリスク評価を⾏い、検証・対策優先度の参考指標とする■ネットワークカメラにおけるリスク評価の対象例
対象範囲

攻撃ポイントAS①想定される具体的な攻撃影響を受ける
守るべき資産脅威分類

対策名

インターネット経路における通信情報、 ・認証情報情報の暴露
想定脅威①⇒ リスク評価を実施
認証情報の漏洩、窃取・通信経路上のデータ

通信経路暗号化

・管理機能上の設定情
カメラの管理機能に対する不正アクセス報
不正アクセス
想定脅威②⇒ リスク評価を実施（設定変更）
・録画データ
カメラ本体

AS②

カメラ機能、SDカード記録情報への不正アクセス

想定脅威③⇒

リスク評価を実施
不正アクセス・録画データ
攻撃者によるカメラの踏み台利用
PC用ソフトウェア
スマートフォン・タ
ブレット用
アプリ

想定脅威④⇒

踏み台
リスク評価を実施

AS③

インターネット経路における通信情報、・認証情報
想定脅威⑤⇒
認証情報の漏洩、窃取情報の暴露
リスク評価を実施

AS④・スマートフォン、タ
スマートフォン、タブレットアプリの個 ブレット内の連絡先等情報の暴露
想定脅威⑥⇒ リスク評価を実施
個人情報（アプリ連携人情報の漏洩、窃取のパーミッション）

Copyright Connected Consumer Device Security Council Proprietary

脆弱性対策
セキュア開発
ユーザ認証
脆弱性対策
セキュア開発脆弱性対策
セキュア開発通信経路暗号化
アプリ側の脆弱性対策※要個別対応アプリ側のセキュア開発※要個別対応17

リスク評価とは事象の重要度、緊急度を数値化したもの（先述のレポート記載項目「重要度(Severity)」と同意で、優先度(Priority)は重要度の値を基に設計側が判断する）
リスク評価手法のひとつ「CVSS v3 」について
CVSSとは︓深刻度を計る数値 (Common Vulnerability Scoring System)
定量化する事で問題の深刻度・対応緊急度を判断する為の共通の材料として扱う（改修優先度の判断材料にもなる）
深刻度は5段階評価

深刻度

スコア

緊急9.0 〜 10.0

重要7.0 〜 8.9

警告4.0 〜 6.9

注意0.1 〜 3.9なし

0

Copyright Connected Consumer Device Security Council Proprietary

18

CVSSの特徴
各評価基準による算出のロジック

基本評価基準×現状評価基準≒

環境評価基準再評価

補正

攻撃コードや対策情報の有無を加味し、脆弱性の現在の深刻度を示す

利⽤環境も含めて算出された最終的な深刻度

＝

＝

基本評価値

現状評価値

環境評価値

＝

脆弱性そのものの特性を示す、時間の経過や利⽤環境によって変化しない

主にメーカーEベンダー等の情報発信者が評価
主に運⽤者が運⽤者の目線で必要に応じて評価

Copyright Connected Consumer Device Security Council Proprietary

19

CVSS v3の計算手法 [基本評価基準]①基本評価基準の計算因子（配布資料︓CVSS 因子解説参照）
機密性への影響

攻撃元区分

どこから攻撃できるのか

完全性への影響

攻撃条件の複雑さ

特定の条件を満たした時だけ攻撃されるのか

可用性への影響

必要な特権レベル

攻撃に権限が必要かどうか※スコープ変更ありなら評価値UP

ユーザ関与レベル

ユーザによるアクションが必要か

情報セキュリティの3要素への影響
各特性が損なわれる影響がある可能性を「高い＞低い＞ない」の3段階で数値化する

各状況の掛け合わせで数値を出す

調整前影響度
スコープ変更影響の広がりを判断
なし or あり（値UP）

脆弱性の深刻度（０〜１０）

影響度

攻撃容易性
Copyright Connected Consumer Device Security Council Proprietary

基本値20

CVSS v3の計算手法 [現状評価基準]②現状評価基準の計算因子
基本値攻撃される可能性

攻撃コードなど使わずに攻撃できる
実在する攻撃コードが使われる可能性がある理論上の問題で実際には攻撃されない、など

利用可能な対策のレベル

正式、暫定、非公式な対策が可能なのか、対策なしか

脆弱性情報の信頼性

開発者が脆弱性を確認済み、広範囲に脆弱性情報が確認されている
非公式情報、ソースコードレベルで脆弱性が確認されていない、情報が未確認、など

現状値
脆弱性の深刻度（０〜１０）

Copyright Connected Consumer Device Security Council Proprietary

21

CVSS v3の計算手法 [環境評価基準]③環境評価基準の計算因子
緩和対策後の機密性への影響
完全性への影響
可用性への影響

この要求が満たされないとどうゆう影響があるか（壊滅的な/深刻な/一部に影響がある）

機密性への要求度
完全性への要求度
可用性への要求度

緩和策後調整前影響度
スコープ変更緩和対策後 とは、開発者や管理者が実際のシステム/環境/ユースケースを考慮して、該当しないケースを排除して再計算した結果

環境値

緩和対策後の攻撃元区分
攻撃条件の複雑さ
必要な特権レベル攻撃される可能性※スコープ変更ありなら評価値UP

ユーザ関与レベル

利用可能な対策のレベル
脆弱性情報の信頼性ありなら値UP

緩和策後影響度

脆弱性の深刻度（０〜１０）

緩和策後
攻撃容易性

緩和策後基本値

Copyright Connected Consumer Device Security Council Proprietary

22

CVSS v3の計算因子 スコープについて
スコープとはシステムやサービスはいくつものソフトウェアのパートが集まって成り⽴っているが、その一部の脆弱性のあるパートが攻撃された際に、影響が攻撃を受けたパートに留まる（または同じ管理権限のパートに留まる）か、それ以外に影響を及ぼすかを評価値に反映させる因子システム（機能、サービス）②システム（機能、サービス）①

攻撃

管理権限α
コンポー
ネント

A

管理権限β

B

影響がA、またはBに留まる

DE

CF⇒スコープ変更無し

影響が他の管理権限のC、DまたはE、Fに及ぶ⇒スコープ変更あり

Copyright Connected Consumer Device Security Council Proprietary23